El responsable y el encargado del tratamiento

• Para que el afectado los consulte de nuevo si lo pide
• Para exigir posibles responsabilidades derivadas del tratamiento
• Para fines estadísticos o de investigación científica
• Para reutilizarlos si el afectado vuelve a darse de alta como cliente

Bloquear es identificar y reservar los datos para impedir su tratamiento, incluida su visualización, con una sola excepción: ponerlos a disposición de jueces y tribunales, del Ministerio Fiscal o de las Administraciones competentes, en particular las autoridades de protección de datos, para exigir posibles responsabilidades derivadas del tratamiento. Los datos bloqueados no pueden tratarse para ninguna otra finalidad, tampoco estadística ni para reactivar una relación con el afectado.

• La Agencia y las autoridades autonómicas, en sus respectivas competencias
• El propio responsable, cuando bloquear los datos le resulte costoso
• El Gobierno, mediante real decreto aprobado en Consejo de Ministros
• El delegado de protección de datos de cada responsable del tratamiento

Las excepciones las fijan la Agencia Española de Protección de Datos y las autoridades autonómicas, cada una en su ámbito, cuando conservar los datos, aun bloqueados, pudiera generar un riesgo elevado para los afectados (por su naturaleza o por ser muchísimos) o un coste desproporcionado para el responsable. Ese coste es un motivo que valora la autoridad, no una decisión que el responsable pueda tomar por su cuenta; ni el Gobierno ni el delegado aparecen en este precepto.

• A los que se pacten por un plazo inferior a un año desde su firma
• A los hechos en el marco de la contratación del sector público
• A los que se refieran a tratamientos de categorías especiales
• A los que se hayan comunicado antes a la autoridad de control

La regla mira a cómo actúa el prestador frente a los afectados y no a lo que dice el contrato, pero la propia ley la exceptúa en los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. La duración del encargo, el tipo de datos o una comunicación previa a la autoridad no cambian nada.

• Las personas mayores de sesenta y cinco años y las personas extranjeras
• Los empleados públicos y los pacientes
• Los consumidores y los usuarios de servicios
• Los menores de edad y las personas con discapacidad

La ley señala como supuesto de mayor riesgo el tratamiento de datos de afectados en situación de especial vulnerabilidad y nombra en particular a dos grupos: los menores de edad y las personas con discapacidad. Los demás grupos de las opciones no aparecen nombrados en el precepto; que un responsable los considere de riesgo por otras razones es posible, porque la lista termina con una cláusula abierta, pero no son los que la ley destaca.

• Remitirlo cada año a la Agencia Española de Protección de Datos
• Hacerlo público, de forma accesible por medios electrónicos
• Conservarlo a disposición de la autoridad, sin publicarlo
• Publicarlo en el boletín oficial cada vez que se modifique

El registro de actividades de un responsable privado es un documento interno que se pone a disposición de la autoridad si lo pide; para los sujetos del art. 77.1 —las Administraciones públicas, los órganos constitucionales y jurisdiccionales y los demás que enumera— la ley va más allá y exige un inventario público, accesible por medios electrónicos. No prevé remitirlo cada año a la Agencia ni publicarlo en un boletín oficial con cada cambio.

• Conservarlos el encargado, que es quien los tenía, mientras dure esa obligación
• Devolverlos al responsable, que garantiza su conservación
• Entregarlos a la autoridad de control, que se encarga de custodiarlos
• Entregarlos al archivo público que resulte competente

Cuando una previsión legal obliga a conservarlos, la destrucción no procede: los datos se devuelven al responsable, que garantiza su conservación mientras dure esa obligación. La ley no deja esa conservación en manos del encargado, y ni la autoridad de control ni un archivo público asumen la custodia por este motivo.

• No, porque solo el responsable puede conservar los datos
• Sí, bloqueados, durante un plazo máximo de cinco años
• Sí, para sus propios fines, si el responsable no se opone
• Sí, bloqueados, mientras puedan derivarse responsabilidades

La ley permite al encargado guardar los datos, debidamente bloqueados, en tanto puedan derivarse responsabilidades de su relación con el responsable: le sirven para defenderse. El límite no es un plazo fijo, sino que esas responsabilidades puedan exigirse; y bloqueados quiere decir que no puede usarlos, tampoco para sus propios fines aunque el responsable no se oponga.

• Si procede recabar de nuevo el consentimiento de los afectados
• Si procede la evaluación de impacto y la consulta previa del Reglamento
• Si procede inscribir el tratamiento en un registro de la Agencia
• Si procede designar un representante ante cada autoridad autonómica de control

Al elegir sus medidas, responsables y encargados han de valorar en particular si procede la evaluación de impacto en la protección de datos y la consulta previa que regula el Reglamento. Es la lógica de la responsabilidad activa: cada uno mide su riesgo y lo acredita, sin un trámite previo ante la autoridad. Notificar los ficheros a la Agencia para inscribirlos en un registro era el sistema de la Ley Orgánica 15/1999, que la ley vigente no recoge; y volver a pedir el consentimiento o nombrar representantes ante las autoridades autonómicas no figura entre lo que este precepto manda valorar.

• Mancomunadamente, cada uno por la mitad con el responsable
• Subsidiariamente, solo cuando el responsable no las cumpla
• Solidariamente con el responsable o el encargado
• En lugar del responsable, que queda libre de responsabilidad

La Agencia Española de Protección de Datos o, en su caso, las autoridades autonómicas pueden dirigir las medidas al representante solidariamente con el responsable o el encargado: pueden exigírselas a uno o a otro, por entero, sin esperar a que el responsable incumpla, que sería una responsabilidad subsidiaria. El representante tampoco sustituye al responsable, cuya responsabilidad queda a salvo, y conserva la acción de repetición frente a quien proceda.